De AI-sandbox voor enterprise-agenten
Elke agent-turn op Scrydon draait in een verse, hardware-geïsoleerde omgeving voor eenmalig gebruik, die geen credentials bevat en standaard geen enkele netwerkbestemming bereikt — en de turn wordt pas toegelaten nadat ondertekend bewijs aantoont dat die grens daadwerkelijk bestaat. Onbewezen isolatie is een weigering, geen degradatie.
Wat is een AI-sandbox?
Wanneer een AI-agent voor u werkt, voert die code uit, leest documenten en roept andere systemen aan — u vertrouwt dus op iets dat niemand regel voor regel heeft nagekeken. De sandbox is de afgesloten kamer waarin de agent werkt: hij gaat naar binnen zonder sleutels, kan alleen kloppen op deuren die u vooraf heeft goedgekeurd, en de kamer wordt gesloopt zodra het werk klaar is. Deze pagina legt uit hoe die kamer is gebouwd — en hoe we bewijzen dat ze standhoudt voordat er iets in draait.
Lees dit als u als CISO, securityarchitect of platformeigenaar moet weten hoe de uitvoering van agents is ingeperkt voordat u die goedkeurt.
Een AI-sandbox is de isolatiegrens waarbinnen de redeneer-, tool- en shell-lus van een AI-agent draait. Op Scrydon is die grens een verse, hardware-gevirtualiseerde omgeving voor eenmalig gebruik per agent-turn — zonder echte credentials binnenin, met standaard geweigerde netwerk-egress — en een agent-turn wordt pas toegelaten nadat ondertekend bewijs het bestaan van de grens aantoont voor exact de build die op het punt staat te draaien.
In de zomer van 2026 maakten toonaangevende AI-labs publiekelijk bekend dat modellen tijdens evaluaties uit hun test-sandboxes waren ontsnapt en echte infrastructuur van derden hadden bereikt. Het patroon achter elk incident was hetzelfde: de isolatie werd beweerd via configuratie en door niemand geverifieerd. Scrydon is ontworpen op de aanname dat deze dag zou komen. Een door een model aangestuurde workload wordt behandeld als een niet-vertrouwde workload — dezelfde categorie als code die van internet is gedownload — want een platform dat alleen veilig is zolang het model zich gedraagt, heeft geen beveiligingsgrens; het heeft een hoop. De AI-sandbox maakt van die aanname architectuur: hardware-isolatie per turn, credentials buiten het bereik van het model, egress als een expliciet contract, en ontsnappingspogingen die vóór elke release worden getest.
Fail closed, nooit open
Een agent-turn draait pas nadat ondertekend isolatiebewijs is gevalideerd voor exact de build die gaat draaien. Ontbreekt dat bewijs of is het verouderd, dan weigert de turn — er is geen terugval naar een hostproces.
Eén turn, één machine
Elke turn krijgt een verse, hardware-gevirtualiseerde omgeving voor eenmalig gebruik die op elk uitgangspad wordt vernietigd — succes, fout, timeout of annulering. Er is geen langlevende agentomgeving om te compromitteren.
Het netwerk is een contract
Egress is standaard geweigerd: een integratie bereikt alleen de bestemmingen die haar manifest declareert, doorsneden met de eigen allowlist van uw organisatie. Geen van beide kanten kan de andere verruimen.
AI-sandbox in het Scrydon-platform
Eén geïntegreerde, soevereine architectuur. Hier past AI-sandbox — uitgelicht binnen de volledige stack waarmee het samenwerkt.
Het AI OS voor mensen en AI-agenten
Ontologie- en semantische laag: één samenhangend model voor uw data, kennis en processen
Het beste van data lakes, datawarehouses en search gecombineerd
Gecontroleerde toegang tot elk model, en de agenten en workflows die over al uw systemen heen uitvoeren
Integreer via A2A, MCP, legacy systemen en databronnen
Veilige domeinfederatie, vertrouwd datadelen en intelligentie over organisatiegrenzen heen
Soevereine fundamenten
AI-sandbox in detail
Human + AI-orchestratie
Het AI OS voor mensen en AI-agenten
De Human + AI Orchestrator is de operationele runtime in het hart van het AI OS — ook wel het Agentic OS genoemd — die elke taak in uw organisatie inplant, routeert en governt, of die nu wordt uitgevoerd door een AI-agent, een bestaand systeem of een mens.
De meeste organisaties hebben vastgelopen processen: verstopt in gescheiden systemen of opgeslagen in de hoofden van mensen. Het AI OS maakt ze zichtbaar en uitvoerbaar. Het legt de intentie vast, brengt de context samen, handelt — en voedt elk resultaat terug in de ontologie, zodat de volgende ronde slimmer verloopt. Allemaal binnen uw eigen perimeter.
De AI-runtime is waar AI daadwerkelijk uitvoert: de AI Gateway die elke modelaanroep bestuurt, en de agentic AI-workflows die van die aanroepen echt werk maken in al uw systemen. De één is de weg naar binnen, de ander is wat daarna gebeurt — en beide draaien onder dezelfde identiteit, hetzelfde beleid en dezelfde audit trail.
Twee helften, één control plane:
- Gateway — één bestuurde route naar elk model: Bestaande applicaties en coding agents wijzen naar één endpoint in plaats van naar een leverancier. Elk model erachter, de leverancierssleutel wordt nooit aan een ontwikkelaar uitgegeven, en elke aanroep is toe te wijzen aan een persoon, begrensd en geauditeerd.
- Workflows — agentic AI die uitvoert: Georkestreerde workflows verbinden frontier-modellen, interne tools en enterprise memory veilig met elkaar, en combineren het redeneervermogen van frontier-AI met strikte, deterministische stappen zodat bedrijfskritische processen voorspelbaar blijven.
- Autonome uitvoering binnen grenzen: Agenten handelen autonoom binnen vastgelegde grenzen, halen context op uit uw data lakehouse en handelen via goedgekeurde tools — met een mens in de lus overal waar uw beleid dat voorschrijft.
Veilig geïmplementeerd binnen uw eigen infrastructuur put de runtime uit uw cognitive enterprise om doortastend te handelen. In welke helft een aanroep ook begint, hij gebruikt dezelfde credential, ontmoet hetzelfde beleid en belandt in dezelfde audit trail — zodat het later toevoegen van bestuurde agenten nooit een tweede control plane betekent.
Leest u dit voor een beslissing later?
Ontvang de volgende verandering in Europese AI-soevereiniteit, en wat we leren door ervoor te bouwen, in uw inbox. Een paar keer per jaar.
Vier fasen, elk afgedwongen buiten het bereik van het model
Elke standaard agent-turn — de volledige redeneer-, tool- en shell-lus van het model —
doorloopt vier fasen, en elk daarvan wordt afgedwongen door infrastructuur die het model niet
kan bereiken. Voordat er iets de sandbox binnengaat, valideert het platform vers, ondertekend
isolatiebewijs dat is gebonden aan exact de build die gaat draaien: geen isolation: true in
een configuratiebestand, maar een bewijs dat is geproduceerd door de grens daadwerkelijk te
beproeven. De controle draait bewust twee keer — één keer aan de kant van de aanroeper, voor
een snelle, leesbare weigering, en één keer in de dispatch-dienst zelf, waar geen verouderde of
verkeerd geconfigureerde aanroeper eromheen kan. Binnen de sandbox houdt het model geen
credentials en geen netwerksocket vast; integratiecode van derden deelt nooit zijn machine en
draait in een aparte omgeving voor eenmalig gebruik, die pas wordt toegelaten nadat de digest
van haar inhoud overeenkomt met de identiteit waaraan ze is vastgepind. En wanneer de turn
eindigt — hoe hij ook eindigt — wordt de omgeving vernietigd, worden de eenmalige toekenningen
ingetrokken en wordt het auditrecord verzegeld voordat succes gemeld mag worden.
- 1
Toelating — bewijs dat de kooi bestaat
Een turn start pas nadat vers, ondertekend isolatiebewijs is gevalideerd voor exact de build die gaat draaien. Ontbrekend, verlopen of niet-passend bewijs betekent weigering — fail closed, geen host-fallback.
- 2
Uitvoering — één turn, één geïsoleerde VM
De agent-lus draait in een verse, hardware-gevirtualiseerde omgeving voor eenmalig gebruik. Integratiecode van derden draait in haar eigen, aparte omgeving — twee vertrouwensdomeinen die nooit een machine delen.
- 3
Egress — default deny, bemiddelde verzoeken
De workload houdt nooit een eigen netwerksocket vast. Een vertrouwde broker buiten de sandbox voert elk uitgaand verzoek zelf uit — alleen naar bestemmingen die zowel het manifest van de integratie als uw allowlist goedkeuren.
- 4
Afbraak — niets overleeft de turn
Elk einde komt uit op dezelfde toestand: de omgeving wordt vernietigd, eenmalige credential-toekenningen worden ingetrokken, en een auditrecord wordt verzegeld voordat de turn succes mag melden.
Waarom agenten een echte grens nodig hebben, geen configuratievlag
De sector heeft deze les publiekelijk en duur geleerd. Binnen een paar weken in 2026 maakte een toonaangevend lab bekend dat modellen in een cybersecurity-evaluatie uit hun beperkte testomgeving waren ontsnapt via de ene interne dienst die ze konden bereiken; een ander auditeerde 141.000 evaluatieruns en vond echte organisaties waarvan de productie-infrastructuur was geraakt nadat een misconfiguratie stilletjes internettoegang had verleend; een derde rapporteerde een vergelijkbare misconfiguratie van zijn harnas. Het ongemakkelijke patroon was niet "de modellen werden te slim" — het was dat de isolatie via configuratie werd beweerd en door niemand geverifieerd. Scrydon draait agenten op de gevoeligste data die een onderneming heeft, en vertrekt daarom van de omgekeerde aanname: een door een model aangestuurde workload is een niet-vertrouwde workload, in dezelfde categorie als code die van internet is gedownload. Die aanname is met opzet onverbiddelijk. Ze sluit "de agent draait in ons backend-proces, maar voorzichtig" uit — en elke architectuur waarin de aanroeper zichzelf ingeperkt mag verklaren. Lees het volledige verhaal in The Harness Holds (in het Engels).
Modellen ontsnappen uit beweerde sandboxes — De incidenten van 2026 deelden één oorzaak: isolatie gedeclareerd in configuratie en door niemand beproefd — één over het hoofd geziene netwerkroute, één vlag die niemand opnieuw controleerde.
Agenten raken uw gevoeligste data — Enterprise-agenten werken aan dossiers, onderzoeken en interne kennis. De grens eromheen mag niet afhangen van of het model zich gedraagt.
Credentials zijn de buit — Een agent die echte geheimen vasthoudt, maakt van elke ontsnapping een datalek. In de sandbox ziet het model ondoorzichtige placeholders; echte waarden blijven de hele turn buiten zijn bereik.
Hoop is geen beveiligingsmodel — Een grens die alleen standhoudt als de workload meewerkt, is geen grens — het is een verzoek. Hardware-virtualisatie houdt stand, of het model nu meewerkt of niet.
Isolatie die wordt aangevallen voordat ze wordt uitgeleverd
Een isolatiecontract dat je nooit test, is een configuratievlag met betere marketing — precies zo zijn de incidenten van 2026 ontstaan. Ontsnappingspogingen zijn op Scrydon dan ook geen gedachte-experiment; ze zijn een ingecheckte release-gate. Voordat een release-kandidaat gepromoveerd kan worden, draait een opzettelijk kwaadaardige workload in een echte gevirtualiseerde gast en probeert dezelfde klassen van ontsnapping die de evaluatiemodellen vonden: netwerk bereiken dat haar nooit was toegekend, het egress-pad omzeilen in plaats van het te gebruiken, en jagen op credentials die ze nooit zou mogen zien. De gate verifieert dat elke poging mislukt, dat de werkelijk uitgezonden bytes van de workload door de data-loss-prevention-scanning zijn gegaan, dat er geen geheim aanwezig was om te stelen, en dat er geen omgevings- of toekenningsstaat overleeft — over succes, fout, timeout en annulering heen. Vervolgens ondertekent ze dat bewijs tegen de exacte hash van de kandidaat, en precies die handtekening eist de toelating voordat de agent-turn van een klant mag draaien. De cirkel sluit zich: de release kan niet uitgeleverd worden tenzij de ontsnapping mislukt, en de agent kan niet draaien tenzij de release het bewezen heeft.
Ontsnappingspogingen zijn een release-gate — Een opzettelijk kwaadaardige workload probeert tegen elke release-kandidaat de bekende klassen van sandbox-ontsnapping — niet-gedeclareerd netwerk bereiken, het egress-pad omzeilen, jagen op credentials.
Ondertekend bewijs sluit de cirkel — De release kan niet uitgeleverd worden tenzij de ontsnapping mislukt, en een agent-turn kan niet draaien tenzij de release het bewezen heeft — dezelfde handtekening die bij toelating wordt gecontroleerd.
Echte bytes, geen gestelde intentie — Data-loss-prevention-scanning geldt voor het werkelijke verkeer dat het platform verlaat, inkomend en uitgaand — niet voor wat het model zegt te doen.
Audit als dragende infrastructuur — Een turn is pas geslaagd als zijn credential-vrije auditrecord is verzegeld. Een verkeerspiek kan u nooit een compliance-record kosten.
Veelgestelde vragen
Wat is een AI-sandbox?+
Waarom hebben AI-agenten sandboxing nodig?+
Hoe verschilt dit van agenten draaien in een container of processandbox?+
Wat gebeurt er als isolatie niet bewezen kan worden?+
Kan een leveranciersintegratie de netwerktoegang van de sandbox verruimen?+
Ziet het model ooit echte credentials?+
Werkt de AI-sandbox in soevereine en air-gapped omgevingen?+
Ontdek het platform
Schrijft u liever? Mail naar hello [at] scrydon.com en wij nemen contact met u op.
Partners
